ASUS_UX333F_введите_ключ_восстановления_BitLocker
Введите ключ восстановления BitLocker
30.10.2019
Apple Time Capsule восстановление данных – история шрамов WD20EARS-42S0XB0
05.12.2018
Показать все

Восстановление данных с флешки Transcend JetFlash 780

М ного ли у вас флешек? А как часто они у вас помирают? Сегодня в нашей рубрике Восстановление данных 24 - изнутри! флешка Transcend JetFlash 780 на 128GB. Поскольку у клиента были лишь догадки, что ценного могло храниться на флешке. Он решил обратиться к нам за помощью, но при условии, что мы сможем показать, хотя бы один файл. По которому он сможет определить важной этой информации.
Контроллер Innostor IS902 присутствует в списке поддерживаемых контроллеров программно-аппаратного комплекса PC3000 Flash - приступим.

В чем была проблема, со слов клиента и какие файлы требовалось достать?

Пролог
В один прекрасный момент флешка стала зависать, а потом просто перестала определяться в системе.
Файловая система
FAT32
Задача
Восстановить фотографии и видео ролики.
Примечание
Я не знаю что находится на данной флешке, но предполагаю, что что-то ценное. Я готов оплатить часть стоимости за возможность понять, что там было. Одного файла будет достаточно.

Процесс восстановления информации с флешки

П одобными возможностями, клиенты пользуются редко! Так как в первую очередь для них важны сроки, а не понимание, что находится на устройстве. А такие заказы обрабатываются в порядке 2-ой очереди. Но заказчика не беспокоили сроки, куда важнее было понять, что находится на флешке и есть ли возможность её восстановить.

В первую очередь, нам нужно снять образ (дампы) с каждой из микросхем памяти, а уже затем, поочередно устранять преобразования сделанные контроллером. Поскольку клиент самостоятельно выпаял микросхемы памяти, нам этого делать уже не нужно. И так:

  1. Снятие дампа с каждой из микросхемы памяти ( 2 дампа по 4 части по 16 Гб на каждую микросхему ≈ 4 часа).
  2. Поиск и корректировка битовых ошибок «Ecc-коррекция». На этом же этапе можно определить формат страницы (Понять размер зону служебной зоны).
  3. Нескорректированные участки перечитываем.

П ервый этап прошёл достаточно успешно, общее число нескорректированных ошибок не превысило и 1%. И около суток на все приготовления.

Vosstanovlenie_dannyh_s_fleshki_Chtenie_identifikatora_mikroshemy

#1 Считываем идентификатор микросхемы

Vosstanovlenie_dannyh_s_fleshki_transcend_jetflash_780_Sozdanie_dampov

#1 Снимаем дампы с каждой из микросхемы по очереди

Vosstanovlenie_dannyh_s_fleshki_Transcend_generacija_kart_perechityvanija

#2-3 Простраиваем карты нескорректированных участков на перечитку


П осле получения прекрасных и скорректированных дампов - нам необходимо устранить Xor-преобразования характерные для данного контроллера IS902 и ECC.
Комплекс уже знаком с данным контроллером и без труда подберёт нам необходимый Xor и формат страницы для данной задачи. А значит и мы можешь попытаться правильно выстроить порядок следования дампов по найденным структурам файловой системы или файлам.


Vosstanovlenie_dannyh_s_fleshki_opredelenie_porjadka_sledovanija_dampov

Параллельный просмотр участников

В нашем случае, мы воспользуемся частями FAT-таблиц и преудобнейшим инструментом комплекса «Параллельных просмотр участников». С помощью «Чернового восстановления» находим lba по которому находится часть таблицы и открываем в «Параллельном просмотре участников». Теперь все наглядно видно и мы без труда можем выстроить следования дампов.

П осле выяснения какой должна быть очередность следования частей дампов, нам потребуется объединить части перед финальной сборкой образа. Но по пути у нас есть ещё одна не решенная задача - интерлив. При работе с памятью контроллер одновременно может читать и писать по 2 блока, чередуя через страницу.
То есть взяв любой участок служебной зоны, с шагов в размер блока, мы увидим такую картину - равные пары маркеров: 0096:0096, 0867:0867 и т.д. Такие равные пары блоков говорят нам о наличие интерлива (контроллер воспринимает блоки с одинаковым маркером как один логический блок), которые потребуется устранить до сборки образа.

До устранения преобразований

А теперь пришло время вспомнить о просьбе нашего клиента и выслать ему одну из найденных по сигнатурам фотографию, по которой он сможет определить важность восстанавливаемой информации.
После успешной демонстрации экземпляра, клиент дает добро на продолжение работ! Запускаем сборку образа по специальному алгоритму для контроллеров Innostor разработанный командой «AceLab». И через пару часов у нас видна утраченная структура заказчика.

Vosstanovlenie_dannyh_s_fleshki_postroenie_obraza_po_nomeru_bloka_zaversheno

Образ собран

П о итогам: повреждено около 4 Гб из 53 Гб. И еще N-я часть была обнаружена черновым восстановлением (удаленные или выпавшие из фс при сборке). Клиент остался доволен результатом и проделанной работой.